Plateforme
go
Composant
github.com/ory/oathkeeper
Corrigé dans
26.2.1
0.40.10-0.20260320084758-8e0002140491
La vulnérabilité CVE-2026-33494 est une faille de type Path Traversal affectant Ory Oathkeeper. Elle permet à un attaquant de contourner les mécanismes d'autorisation en manipulant l'URL pour accéder à des chemins protégés. Cette vulnérabilité est corrigée dans la version 0.40.10-0.20260320084758-8e0002140491 d'Ory Oathkeeper.
La vulnérabilité CVE-2026-33494 dans Ory Oathkeeper est sensible à un contournement d'autorisation via un parcours de chemin HTTP. Un attaquant peut créer une URL contenant des séquences de parcours de chemin (par exemple, /public/../admin/secrets) qui résout vers un chemin protégé après normalisation, mais est appariée à une règle permissive car le chemin brut, non normalisé, est utilisé lors de l'évaluation de la règle. Cela peut entraîner un accès non autorisé à des ressources sensibles.
Cette vulnérabilité est exploitée en créant des URL malveillantes qui utilisent des séquences de parcours de chemin (comme ../) pour accéder à des répertoires ou des fichiers en dehors de la portée prévue. Si une règle Oathkeeper est permissive pour le chemin non normalisé, un attaquant peut contourner les contrôles d'autorisation et accéder à des ressources protégées. L'efficacité de l'exploitation dépend de la configuration des règles Oathkeeper et de la structure du répertoire du serveur.
Organizations relying on Ory Oathkeeper for authentication, particularly those with complex rule configurations or legacy deployments, are at risk. Shared hosting environments where Oathkeeper instances are configured with permissive rules are also particularly vulnerable.
• linux / server:
journalctl -u oathkeeper -g "path traversal"• generic web:
curl -I 'http://your-oathkeeper-server/public/../admin/secrets' # Check for unexpected responses• generic web:
grep -r '/../' /var/log/nginx/access.log # Look for path traversal attempts in access logsdisclosure
Statut de l'Exploit
EPSS
0.06% (percentile 18%)
CISA SSVC
Vecteur CVSS
L'atténuation de cette vulnérabilité consiste à mettre à niveau vers la version 0.40.10-0.20260320084758-8e0002140491 d'Ory Oathkeeper ou une version ultérieure. Cette version corrige le problème en s'assurant que les règles sont évaluées à l'aide du chemin normalisé, empêchant ainsi le contournement d'autorisation. Il est recommandé de revoir et de mettre à jour les règles Oathkeeper pour s'assurer qu'elles sont conformes aux principes de sécurité et minimisent la surface d'attaque.
Mettez à jour Ory Oathkeeper à la version 26.2.0 ou supérieure. Cette version contient une correction pour la vulnérabilité de (path traversal). La mise à jour empêchera les attaquants de contourner l'autorisation en manipulant les routes.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
Ory Oathkeeper est un serveur d'autorisation open source qui contrôle l'accès à vos API et applications.
Si vous utilisez une version d'Oathkeeper antérieure à 0.40.10-0.20260320084758-8e0002140491, vous êtes probablement affecté.
Le parcours de chemin HTTP est une technique qui permet à un attaquant de naviguer en dehors du répertoire web prévu en utilisant des séquences comme ../ pour accéder à des fichiers ou des répertoires qui ne devraient pas être accessibles.
Si vous ne pouvez pas mettre à niveau immédiatement, envisagez de mettre en œuvre des mesures de sécurité supplémentaires, telles que la restriction de l'accès aux ressources sensibles et l'examen attentif des règles Oathkeeper.
Vous pouvez trouver plus d'informations sur cette vulnérabilité sur la page CVE-2026-33494 dans les bases de données de vulnérabilités telles que NVD ou dans la documentation d'Ory Oathkeeper.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier go.mod et nous te dirons instantanément si tu es affecté.